Anatomie du phishing moderne : le clic anodin qui coûte tout

En 2025, 3,8 millions d'attaques de phishing ont été recensées, un chiffre record qui illustre l'ampleur du phénomène.

Ce qui distingue cette année des précédentes n'est pas tant le volume des attaques, mais leur sophistication croissante.

Les méthodes traditionnelles, comme les emails mal rédigés ou les liens suspects, ont laissé place à des techniques plus discrètes, exploitant la confiance accordée aux outils du quotidien.

Les attaquants ne se contentent plus de tromper les utilisateurs : ils détournent des infrastructures légitimes, comme les services de raccourcissement d'URL ou les publicités en ligne, pour contourner les défenses existantes.

Cette évolution rend les attaques plus difficiles à détecter, car elles se fondent dans les habitudes numériques des victimes.

Les services de raccourcissement d'URL, comme bit.ly, sont devenus des outils privilégiés pour les attaquants.

Ces plateformes, initialement conçues pour simplifier les liens, sont détournées pour masquer des pages malveillantes.

Par exemple, un email contenant un lien bit.ly peut sembler inoffensif, car le service est reconnu et souvent sur liste blanche dans les filtres de messagerie.

Pourtant, ce lien peut rediriger vers une page de vol d'identifiants ou un formulaire piégé.

Les attaques modernes, comme le quishing (phishing par QR code), utilisent aussi ces raccourcisseurs pour échapper à la détection.

Les équipes de sécurité doivent désormais résoudre dynamiquement ces liens avant de les valider, car les méthodes traditionnelles de filtrage par domaine sont inefficaces.

Le cloaking est une technique qui consiste à afficher une version différente d'une page web selon qu'elle est visitée par un utilisateur ou par un robot de vérification.

Dans le contexte des publicités en ligne, des attaquants achètent des espaces publicitaires sur des moteurs de recherche comme Google et y affichent une page clone d'un logiciel officiel (par exemple, Microsoft Teams).

Les robots de Google voient une page propre et légitime, tandis que les utilisateurs sont redirigés vers un ransomware.

En 2024, une seule campagne de ce type a compromis un million d'appareils.

Aujourd'hui, une publicité sur 130 dans les résultats de recherche est malveillante.

Les fichiers malveillants sont souvent hébergés sur des plateformes comme GitHub ou Dropbox, qui sont généralement autorisées par les filtres d'entreprise.

Les interfaces d'IA générative, comme ChatGPT ou Perplexity, sont de plus en plus utilisées par les collaborateurs pour rechercher des logiciels ou des liens.

Cependant, ces outils ne disposent pas des protections anti-phishing intégrées aux navigateurs classiques.

Une étude récente révèle qu'une URL suggérée sur trois par ces moteurs d'IA ne pointe pas vers le domaine officiel de la marque concernée.

Cela signifie que les utilisateurs peuvent être redirigés vers des pages malveillantes sans même s'en rendre compte.

Le réflexe de recherche et de clic, autrefois protégé par les navigateurs, migre vers des interfaces moins sécurisées, où les risques de phishing sont accrus.

Face à ces nouvelles menaces, les solutions techniques doivent évoluer.

Les SWG (passerelles web sécurisées) doivent être configurées pour résoudre dynamiquement les raccourcisseurs d'URL avant de valider un lien, car le filtrage par catégorie de domaine seul est inefficace.

L'analyse comportementale des pages de destination devient indispensable pour détecter les redirections suspectes.

De plus, il est nécessaire d'encadrer l'usage des raccourcisseurs au sein des outils internes des organisations, non pas pour les interdire, mais pour distinguer les usages légitimes des usages suspects.

Ces mesures visent à combler les angles morts des défenses traditionnelles, qui ne sont plus adaptées à un paysage de menaces en constante évolution.

Les messages de sensibilisation traditionnels, comme « vérifiez l'URL » ou « méfiez-vous des expéditeurs inconnus », doivent être mis à jour.

Aujourd'hui, un lien peut paraître parfaitement légitime et mener directement à une compromission.

La vigilance ne se joue plus sur la reconnaissance visuelle d'une anomalie, mais sur la compréhension du risque.

Les utilisateurs doivent être informés que le premier résultat Google peut être une publicité, que bit.ly peut cacher n'importe quoi, et qu'un fichier téléchargé depuis GitHub peut être malveillant.

Cette prise de conscience est essentielle pour adapter les réflexes de sécurité à un environnement numérique où les menaces se fondent dans les infrastructures légitimes.